GB/T 30276-2020信息安全技術網(wǎng)絡安全漏洞管理規(guī)范

ICS35040

L80.

中華人民共和國國家標準

GB/T30276—2020

代替

GB/T30276—2013

信息安全技術

網(wǎng)絡安全漏洞管理規(guī)范

Informationsecuritytechnology—

Specificationforcybersecurityvulnerabilitymanagement

2020-11-19發(fā)布2021-06-01實施

國家市場監(jiān)督管理總局發(fā)布

國家標準化管理委員會

GB/T30276—2020

目次

前言

…………………………Ⅰ

范圍

1………………………1

規(guī)范性引用文件

2…………………………1

術語和定義

3………………1

網(wǎng)絡安全漏洞管理流程

4…………………2

網(wǎng)絡安全漏洞管理要求

5…………………3

漏洞發(fā)現(xiàn)和報告

5.1……………………3

漏洞接收

5.2……………3

漏洞驗證

5.3……………3

漏洞處置

5.4……………4

漏洞發(fā)布

5.5……………5

漏洞跟蹤

5.6……………5

證實方法

6…………………5

參考文獻

………………………6

GB/T30276—2020

前言

本標準按照給出的規(guī)則起草

GB/T1.1—2009。

本標準代替信息安全技術信息安全漏洞管理規(guī)范與

GB/T30276—2013《》,GB/T30276—2013

相比主要技術變化如下

,:

修改了范圍的表述見第章年版的第章

———(1,20131);

增加了規(guī)范性引用文件刪除了規(guī)范性引用文件見

———GB/T30279—2020,GB/T18336.1—2008(

第章年版的第章

2,20132);

增加了術語網(wǎng)絡產(chǎn)品和服務的提供者網(wǎng)絡運營者漏洞收錄組織漏洞應急組織漏

———“()”“”“”“”“

洞發(fā)現(xiàn)漏洞報告漏洞接收漏洞驗證漏洞發(fā)布見

”“”“”“”“”(3.2、3.3、3.4、3.5、3.6、3.7、3.8、3.9、

3.10);

刪除了術語修復措施廠商漏洞管理組織漏洞發(fā)現(xiàn)者年版的

———“”“”“”“”(20133.1、3.3、3.4、3.5);

修改了漏洞管理流程從漏洞管理的角度出發(fā)重新定義了漏洞管理流程的各階段將原來的

———,,,

預防收集消減發(fā)布管理階段調整為漏洞發(fā)現(xiàn)和報告漏洞接收漏洞驗證漏洞處置漏

“、、、”“、、、、

洞發(fā)布漏洞跟蹤并提出各管理階段中各相關角色應遵循的要求見第章第章

、”,(4、5,2013

年版的第章第章

4、5);

刪除了附錄規(guī)范性附錄漏洞處理策略年版的附錄

———“A()”(2013A)。

請注意本文件的某些內容可能涉及專利本文件的發(fā)布機構不承擔識別這些專利的責任

。。

本標準由全國信息安全標準化技術委員會提出并歸口

(SAC/TC260)。

本標準起草單位國家計算機網(wǎng)絡應急技術處理協(xié)調中心中國信息安全測評中心國家信息技術

:、、

安全研究中心中國電子技術標準化研究院上海交通大學恒安嘉新北京科技股份公司網(wǎng)神信息技

、、、()、

術北京股份有限公司上海斗象信息科技有限公司北京數(shù)字觀星科技有限公司阿里巴巴北京軟

()、、、()

件服務有限公司公安部第三研究所中國科學院大學北京奇虎科技有限公司

、、、。

本標準主要起草人云曉春舒敏崔牧凡王文磊嚴寒冰賈子驍陳悅任澤君崔婷婷高繼明

:、、、、、、、、、、

王桂溫郭亮謝忱白曉媛王宏李斌孟魁姜開達黃道麗趙旭東趙蕓偉蔣凌云郝永樂葉潤國

、、、、、、、、、、、、、、

劉楠張玉清姚一楠

、、。

本標準所代替標準的歷次版本發(fā)布情況為

:

———GB/T30276—2013。

Ⅰ

GB/T30276—2020

信息安全技術

網(wǎng)絡安全漏洞管理規(guī)范

1范圍

本標準規(guī)定了網(wǎng)絡安全漏洞管理流程各階段包括漏洞發(fā)現(xiàn)和報告接收驗證處置發(fā)布跟蹤

(、、、、、

等的管理流程管理要求以及證實方法

)、。

本標準適用于網(wǎng)絡產(chǎn)品和服務的提供者網(wǎng)絡運營者漏洞收錄組織漏洞應急組織等開展的網(wǎng)絡

、、、

安全漏洞管理活動

。

2規(guī)范性引用文件

下列文件對于本文件的應用是必不可少的凡是注日期的引用文件僅注日期的版本適用于本文

。,

件凡是不注日期的引用文件其最新版本包括所有的修改單適用于本文件

。,()。

信息安全技術術語

GB/T25069

信息安全技術網(wǎng)絡安全漏洞標識與描述規(guī)范

GB/T28458—2020

信息安全技術網(wǎng)絡安全漏洞分類分級指南

GB/T30279—2020

3術語和定義

界定的以及下列術語和定義適用于本文件

GB/T25069、GB/T28458—2020。

31

.

用戶user

使用網(wǎng)絡產(chǎn)品和服務的個人或組織

。

32

.

網(wǎng)絡產(chǎn)品和服務的提供者providerofnetworkproductsandservices

()

提供網(wǎng)絡產(chǎn)品和服務的個人或組織

。

33

.

網(wǎng)絡運營者networkoperator

網(wǎng)絡的所有者